Évaluer son niveau pour apprendre Microsoft Sentinel au Maroc

À qui s’adresse ce guide ?

Ce guide s’adresse aux personnes au Maroc qui envisagent une formation en cybersécurité, souhaitent évoluer vers un poste d’analyste SOC ou veulent mieux exploiter Microsoft Sentinel dans leur activité. Il concerne aussi bien les débutants que les professionnels des systèmes, du réseau ou de la sécurité qui connaissent déjà une partie de l’environnement Microsoft.

Microsoft Sentinel est une plateforme cloud de gestion des informations et des événements de sécurité (SIEM) et d’orchestration (SOAR). En pratique, elle sert notamment à centraliser des données de sécurité, rechercher des événements, examiner des alertes et contribuer au traitement des incidents. L’outil s’inscrit dans un ensemble plus large : comprendre les données et le contexte d’une alerte compte autant que savoir où cliquer.

Vous pouvez commencer sans avoir déjà travaillé dans un SOC. En revanche, il est utile de distinguer trois objectifs : découvrir l’interface, réaliser des investigations guidées, ou contribuer de façon autonome à une surveillance et à une réponse aux incidents. Le troisième objectif demande davantage d’expérience et de méthode.

• Débutant en informatique : viser d’abord les notions de systèmes, réseaux et sécurité.
• Technicien systèmes ou réseau : transférer ses acquis vers les journaux, les alertes et l’environnement cloud.
• Professionnel de la cybersécurité : approfondir les requêtes, les règles de détection et les procédures d’investigation.

Les prérequis selon l’usage visé

Pour une première découverte, les prérequis indispensables sont modestes : savoir utiliser un ordinateur, comprendre ce qu’est un compte utilisateur et reconnaître les notions d’activité, d’alerte et de risque. Il faut aussi être prêt à suivre une démarche structurée : observer les données disponibles, formuler une question, examiner les résultats et expliquer ce qu’ils permettent — ou non — de conclure.

Pour un usage professionnel, les bases réseau deviennent importantes : adresse IP, nom de domaine, ports, DNS et différence entre trafic attendu et inhabituel. Il faut pouvoir lire des événements système ou de sécurité et comprendre des notions comme l’authentification, les privilèges et les logiciels malveillants. Des connaissances d’Azure et des services Microsoft facilitent la compréhension des sources de données et des identités.

Certaines compétences sont simplement utiles au départ, pas obligatoires pour ouvrir l’outil ou suivre une initiation. C’est le cas de KQL, le langage utilisé pour interroger des données dans Microsoft Sentinel, ainsi que des scripts, de l’automatisation et de la création avancée de règles. Une familiarité avec les procédures d’escalade et la rédaction de comptes rendus est particulièrement utile en contexte SOC.

Apprendre Microsoft Sentinel sans expérience est donc réaliste si l’on choisit un parcours progressif. Ne pas connaître KQL avant le cours n’est pas un motif pour renoncer ; ne pas comprendre ce qu’est un journal ou une adresse IP signale plutôt des bases à renforcer en parallèle.

• Indispensables pour débuter : aisance numérique, notions élémentaires de sécurité et capacité à suivre une investigation guidée.
• À renforcer pour un usage opérationnel : réseau, systèmes, identités, journaux et principes de réponse aux incidents.
• Utiles mais non indispensables au premier jour : KQL, scripts, automatisation et création avancée de détections.

Auto-évaluation en Microsoft Sentinel

Répondez sans consulter de documentation. Pour chaque question, notez « oui », « en partie » ou « pas encore ». Ne cherchez pas à obtenir un score officiel : cet exercice sert à choisir le bon point de départ, pas à certifier votre niveau.

• Systèmes : pouvez-vous expliquer la différence entre un compte utilisateur et un compte administrateur ? Savez-vous où chercher un événement de connexion sur un poste Windows ?
• Réseau : pouvez-vous expliquer ce qu’indiquent une adresse IP et un nom de domaine ? Savez-vous pourquoi plusieurs connexions échouées peuvent mériter une vérification ?
• Sécurité : distinguez-vous une vulnérabilité, une menace, un événement et une alerte ? Pouvez-vous expliquer pourquoi une alerte doit être vérifiée avant d’être considérée comme un incident confirmé ?
• Journaux : pouvez-vous repérer dans un tableau l’heure, l’utilisateur, l’adresse IP et le résultat d’une tentative de connexion ?
• Cloud : avez-vous déjà utilisé un portail cloud ou géré des identités et des autorisations ?
• Investigation : pouvez-vous décrire les étapes suivies pour vérifier une activité suspecte et noter les éléments qui justifient votre conclusion ?

Grille d’auto-évaluation par niveaux

Utilisez cette grille pour interpréter vos réponses. Elle ne remplace ni une évaluation par un formateur ni une expérience en environnement réel. Une réponse « en partie » est un acquis à consolider, pas nécessairement une lacune bloquante.

• Niveau 1 — Découverte : vous êtes à l’aise avec les usages numériques courants, mais les notions de réseau, de journaux et de sécurité sont nouvelles. Objectif : acquérir le vocabulaire et suivre des démonstrations guidées.
• Niveau 2 — Bases informatiques : vous connaissez les comptes, les systèmes ou quelques notions réseau, mais avez peu pratiqué l’analyse de sécurité. Objectif : comprendre les événements et effectuer des recherches simples dans des données fournies.
• Niveau 3 — Bases sécurité ou cloud : vous avez déjà examiné des journaux, étudié des alertes ou travaillé avec Azure, mais vous débutez sur Sentinel ou KQL. Objectif : conduire des investigations guidées et expliquer vos résultats.
• Niveau 4 — Pratique opérationnelle : vous savez relier événements, identités et contexte réseau, et connaissez les étapes de qualification et d’escalade. Objectif : approfondir les requêtes, les détections et les procédures propres à votre environnement.

Tests pratiques adaptés à Microsoft Sentinel

Un test de niveau Microsoft Sentinel utile porte sur des tâches observables, et non sur la mémorisation de menus. Faites les exercices dans un environnement d’apprentissage autorisé, avec des données d’exemple ou un laboratoire prévu à cet effet. N’examinez pas les systèmes d’une organisation sans autorisation.

• Lecture de journaux : à partir d’un petit tableau fictif d’événements, relevez l’heure, le compte concerné, l’adresse IP et le résultat. Indiquez quelles informations manquent pour conclure.
• Qualification d’alerte : lisez une description d’alerte pédagogique et rédigez trois vérifications à effectuer avant de la classer comme incident.
• Première recherche : dans un laboratoire guidé Sentinel, repérez la plage de temps, le type de données et les filtres d’une recherche existante. Si vous connaissez déjà KQL, adaptez une requête simple en changeant une période ou un critère.
• Compte rendu : résumez les faits observés, les hypothèses encore incertaines et la prochaine action recommandée. Un raisonnement clair vaut mieux qu’une conclusion catégorique sans preuve.

Lire les résultats du diagnostic

Si vous avez répondu « pas encore » à plusieurs questions sur les systèmes, les réseaux et les événements, commencez par les fondamentaux informatiques et de cybersécurité. Vous pourrez ensuite découvrir Sentinel sans chercher à assimiler simultanément l’outil et tout son vocabulaire.

Si vos bases informatiques sont solides mais que les journaux et les alertes vous sont peu familiers, privilégiez une initiation à la surveillance de sécurité, puis des exercices guidés sur les données. Si vous comprenez déjà les incidents mais pas l’environnement cloud, révisez les notions d’identités, d’accès et de services Azure avant d’aborder les connexions de données.

Si vous savez déjà lire les journaux et qualifier une alerte, mais ne connaissez pas KQL, vous pouvez commencer Sentinel tout en apprenant progressivement à interroger les événements. Si KQL vous est familier, orientez votre pratique vers la qualité des investigations, les règles de détection et la documentation des décisions.

L’objectif n’est pas d’atteindre un niveau expert avant de commencer. Choisissez un parcours où les exercices correspondent à votre niveau actuel et où les notions manquantes sont expliquées avant d’être utilisées.

Combler les lacunes avant de commencer

Révisez dans un ordre qui évite d’apprendre des requêtes sans comprendre les données qu’elles interrogent. Les ressources de formation continue et de montée en compétences peuvent aussi aider à transformer un objectif professionnel en besoins d’apprentissage concrets.

• Lacune en systèmes : révisez comptes, rôles, connexions et journaux Windows. Exercice : distinguez dans des événements fictifs une ouverture de session réussie d’un échec.
• Lacune en réseau : révisez IP, DNS, ports et connexions. Exercice : décrivez ce que vous pouvez déduire d’une adresse IP et ce qui reste inconnu.
• Lacune en sécurité : révisez événements, alertes, incidents, faux positifs et escalade. Exercice : justifiez une décision de triage à partir de faits observés.
• Lacune en cloud : familiarisez-vous avec les identités, autorisations et ressources Azure. Exercice : expliquez pourquoi une identité ou une source de données peut être pertinente lors d’une investigation.
• Lacune en KQL : commencez par lire une requête déjà écrite et repérer la table, les filtres et les colonnes affichées. Ensuite, modifiez un critère dans un environnement pédagogique.

Choisir son premier objectif concret

Définissez une tâche que vous pourrez réaliser et expliquer à la fin de votre apprentissage. Par exemple : « Je veux retrouver les événements liés à une tentative de connexion et résumer ce qu’ils montrent » ou « Je veux examiner une alerte guidée, identifier les éléments à vérifier et rédiger une note d’escalade ». Ces objectifs sont plus faciles à évaluer qu’un objectif vague comme « maîtriser Sentinel ».

Avant de choisir une formation, vérifiez qu’elle correspond à votre niveau, précise les exercices pratiques et couvre les notions dont vous avez besoin. Pour un objectif professionnel en SOC, assurez-vous que le parcours aborde l’analyse des événements, la qualification des alertes et les procédures de traitement des incidents, en plus de la prise en main de l’outil.

• Un objectif de découverte : comprendre la place de Sentinel dans une investigation de sécurité.
• Un objectif de pratique : rechercher des événements dans un jeu de données guidé et expliquer les résultats.
• Un objectif professionnel : contribuer à la qualification et à l’escalade d’incidents selon une procédure.

Le parcours, étape par étape

1. 11. Fixer votre usage cible — Choisissez entre découverte, investigation guidée et contribution à un processus SOC. Le niveau attendu n’est pas le même pour chacun.
2. 22. Passer l’auto-évaluation — Répondez aux questions sur les systèmes, le réseau, la sécurité, les journaux, le cloud et l’investigation. Notez les réponses « en partie » et « pas encore ».
3. 33. Tester une tâche courte — Lisez des journaux fictifs, examinez une alerte pédagogique ou suivez une recherche guidée dans Sentinel. Notez ce que vous pouvez faire seul et ce qui demande une explication.
4. 44. Réviser les bases dans l’ordre — Commencez par les lacunes en systèmes et réseau, puis sécurité et journaux, ensuite cloud et enfin KQL selon votre objectif.
5. 55. Choisir une formation adaptée — Vérifiez le niveau annoncé, les exercices, les objectifs et l’accompagnement prévu. Pour une évolution vers le SOC, privilégiez un contenu lié à l’analyse et au traitement d’incidents.
6. 66. Définir un résultat observable — Formulez une tâche précise que vous voulez réussir à la fin du parcours et conservez un exemple de compte rendu ou de recherche comme repère de progression.

Formations et programmes au Maroc

Compétences clés

Questions fréquentes

Sources

1. Ingénierie de la Formation Continue : Identification et Analyse des Besoins de Formation — OFPPT ofppt.ma
2. Upskilling et reskilling — Ministère de la Transition Numérique et de la Réforme de l’Administration mmsp.gov.ma
3. Microsoft Sentinel — documentation Microsoft learn.microsoft.com
4. Microsoft Security Operations Analyst — certification Microsoft learn.microsoft.com
5. Analyse SOC et réponse aux incidents avec SIEM — FormaGroup formagroup.ma
6. Microsoft Sentinel — FormaGroup formagroup.ma